为grails 2.5应用程序配置Content-Security-Policy标头

Question

我正在使用不同的解决方案来防止grails应用程序中的点击劫持。其中一个解决方案是使用X-Frame。所以，我通过 mrhaki 找到了一个grails插件X-Frame-Options Plugin。

我的目的是添加响应标题

  

X框：DENY

每一个回复。太好了！

我读到有一个现代的解决方案 - Content-Security-Policy标头。我无法为Grails应用程序配置它。有人可以帮忙吗？

Answer 1

X-Frame-Options插件很简单，并插入一个servlet过滤器来为请求添加标头。根据您的情况，我建议您创建自己的servlet过滤器以添加Content-Security-Policy标头。

您可以在此处查看有关如何添加标头的示例： https://github.com/mrhaki/grails-x-frame-options-plugin/blob/df230a9f01cd2e1c6ac4be6d9eac41fbcae48293/src/main/groovy/com/mrhaki/grails/plugin/xframeoptions/web/XFrameOptionsFilter.groovy#L69

另一个选择是使用您的应用程序前面的Web服务器（apache httpd或nginx）来添加标题。